RCEP框架下中国数据跨境流动规则解读

为顺应全球数字经济的蓬勃发展，2021年11月15日，我国正式签署首个嵌入数据跨境流动规则条款的自由贸易协定《区域全面经济伙伴关系协定》（以下简称“RCEP"）正式签署，2022年1月1日RCEP正式生效，目前RCEP对除了菲律宾、缅甸和马来西亚外的其他东南亚国家联盟十国成员和中国、日本、韩国、澳大利亚、新西兰已经生效，标志着中国第一次作出了关于数据治理方面的承诺。
基于以上背景，本文将简要探讨RCEP框架下数据跨境规则，中国法律体系下数据跨境规则，RCEP框架下数据跨境实务场景，以及我们对于企业数据合规的建议。
01、RCEP框架下数据跨境规则
随着数据全球化浪潮的兴起，形成于互联网大时代之前的WTO既有规则，并未规制跨境数据流动，更无法有效应对数据全球化。RCEP作为中国签订的最重要的自由贸易协定之一，涵盖了包括电子签名、无纸化贸易等传统电子商务项目，系迄今为止最为复杂的数字贸易规则。通过RCEP，我国与RCEP其他成员国在跨境数据保护上达成了共识。
笔者就RCEP框架下的数据跨境规则简要概况如下：

△ 表一：RCEP框架下的数据跨境规则概况
RCEP框架下鼓励数据跨境流动，原则上禁止限制，但同时通过设置特定例外条款，给予了缔约方一定的政策空间，保留了缔约方的监管权限。RCEP 第12 章“电子商务”开篇即确定了宗旨和目标，第15 条更是在承认各缔约国监管要求的基础上，规定商业行为的电子方式跨境传输信息不得阻止，确定了数据跨境自由流动原则。值得注意的是，此处的信息除规定为“商业行为”外，并未限制于个人信息，即从文义上包含除政府和司法机关主导的数据跨境流动外的所有类型数据信息只要满足商业行为的目的均鼓励自由流动。
常言道风险总是伴随机会而生，鼓励数据跨境流动势必给缔约国带来不可避免的相关风险，包括危害国家安全，破坏社会公共道德和公共秩序，侵犯个人隐私，消费欺诈，本国执法障碍等，在RCEP生效前，为应对风险各缔约国已经出台了本国监控措施，限制数据跨境流动。当前，各缔约国特别是东盟十国与其他缔约国在数字经济发展仍存在差距，为了在数据跨境流动与本国规制中寻求平衡，RCEP在第十二章第14条和第15条项下还规定了两项特定例外：即“公共政策目标例外”和“基本安全利益例外”，且对于该两项例外缔约国均拥有较大的自由裁量权。
此外，RCEP 第十七章“一般条款和例外”的第12条一般例外，也明确针对跨境数据流动，同时适用《关税及贸易总协定》（以下简称“GATT"）第20条“一般例外”及《服务贸易总协定》（以下简称“GATS ”）第14 条“一般性例外规定”及第14条之一“国家安全之例外”。
最后， RCEP把“审慎例外”放置在“金融服务”章节，但未将“数字贸易”或“电子商务”章节的规则内容排除在抗辩范围之外，即这些协定都承认审慎例外对数据流动的适用性，保留了缔约方的审慎监管空间。
02、中国法律体系下数据跨境规则
我国当前法律体系下，就跨境流动规制并未形成统一法律法规体系，散见于多部法律法规、部门规章中，整体上立法态度审慎和保守，注重数据安全维护，尤其是国家安全。
笔者就我国现行数据跨境主要法律法规简要归纳汇总如下：



△ 表二：我国现行数据跨境主要法律法规概况
我国对于不同主体收集或产生的不同类型的信息确定了不同的规制措施，主要梳理归纳如下：

△ 表三：我国现行数据跨境规制措施
由上可知，当前我国对于数据跨境已经基本上形成了较为具体的管制规定，但并未形成系统化体系。在具体规定上，我国现有数据跨境的规定看似与RECP鼓励数据跨境流动原则看似冲突和不符，但经过分析可知，我国数据跨境管制规定均基于“公共政策目标”和“基本国家利益”的例外条款。就个人信息和重要数据，比如“滴滴”违法搜集的个人信息、地图信息，以及基于上述信息分析、处理后形成了相关大数据分析成果等，必然涉及最基本的“公共政策目标”和“基本国家利益”；就关键信息基础设施运营者搜集的信息，根据《关键信息基础设施安全保护条例》第2条的定义，对于关键信息基础设施的定义也直接明确了其与国家安全、公共利益之间的关联性；就其他个人信息，我国也提供了三种可以选择的规则措施，充分考虑了非歧视性及可替代性原则，且专业机构认证和标准合同条款方式，均是美国向WTO提交的质疑文件中承认的合理替代措施。
综上，我国当前法律体系下数据跨境规则理论上可以基于RCEP第12章第14条和15条的特定例外条款，以及第十七章第12条的一般例外条款，从而获得合法性认可。但目前我国数据跨境规则仍不完善，可以明确的是未来国家将进一步出台和细化关于我国数据跨境的监管规则，如何在维持以及兑现我国在数据跨境流动自由原则承诺的基础上，保证我国跨境数据监管规则，在包括RCEP在内的其他自由贸易协定框架下的合法性，是未来各级立法和监管机关需要重点关注的问题。